Trojaner erkennen
Sind Ihre Systeme unterwandert?
Foto: Skilful - shutterstock.com
Ähnlich wie das berühmte hölzerne Pferd aus der Ilias lassen Trojaner die User über ihre eigentlichen Absichten im Unklaren. Die bösartige Software muss vom Opfer - oder durch ein anderes Schadprogramm - aktiviert werden. Üblicherweise schleicht sich der Schadcode unter dem Deckmantel eines nützlichen Tools in das Zielsystem. Einmal eingeschleust, soll er:
Benutzer- oder Systemdaten löschen, ändern, kopieren oder verschlüsseln;
Daten empfangen und verschicken;
Computer oder Netzwerke verlangsamen;
Trojaner erkennen - 17 Typen
Trojaner haben mit der Zeit immer komplexere Formen angenommen, zum Beispiel Backdoors, die Fernzugriff auf Rechner erlauben, oder Downloader, die andere Schadprogramme herunterladen und installieren können. Vor den folgenden Trojaner-Typen sollten Sie sich in Acht nehmen.
1. ArcBombs
ArcBombs sind spezielle Archive, die sich beim Entpacken durch den User ungewöhnlich verhalten. Dabei frieren sie das infizierte System entweder ganz ein oder verlangsamen es erheblich. Um ihr Ziel zu erreichen, nutzen sie oft manipulierte Header oder beschädigte Daten, die eine Fehlfunktion beim Archivprogramm oder dem Entpackungs-Algorithmus auslösen. Sie können auch Objekte enthalten, die aus sich wiederholenden Datensätzen bestehen und in ein kleines Archiv gepackt werden. Beispielsweise komprimieren die Angreifer 10GB an Daten in ein 400KB großes Archiv.
2. Backdoors
Backdoors erlauben es Kriminellen, einen Rechner aus der Ferne zu kontrollieren. Die Angreifer können so eine Vielzahl der Funktionen des infizierten Computers nutzen, um zum Beispiel Daten zu empfangen, zu senden, zu löschen oder auszuführen. Des Weiteren können sie Warnungen auf dem Bildschirm anzeigen oder den PC rebooten. Auch Third-Party-Code kann via Backdoor in das betroffene Gerät eingeschleust werden. Auf diese Weise lassen sich etwa Tastatureingaben aufzeichnen (wenn der Schadcode als Keylogger agiert) sowie Kamera und Mikrofon nach Belieben ein- und ausschalten. Manchmal werden Backdoors zur Verwaltung mehrerer infizierter Rechner (oder IoT-Devices) herangezogen, welche dann wiederum in ein Botnet eingebunden sind.
Ein anderer Backdoor-Typus kann sich, ähnlich wie ein Wurm, über das gesamte Netzwerk ausbreiten - allerdings nicht automatisch, sondern nur auf Befehl der Angreifer.
3. Banking-Trojaner
Banking-Trojaner sollen vertrauliche Daten wie Login-Informationen, Passwörter, SMS-Authentifizierungen oder Bankkarteninformationen abschöpfen.
Der 2014 entdeckte Trojaner Emotet sollte ursprünglich Bankdaten stehlen. In späteren Versionen kamen Spam-Funktionen und Optionen zum Download von MalwareMalware hinzu. Alles zu Malware auf CIO.de
Der im Jahr 2016 programmierte Trickbot ist immer noch aktiv. Neben Bankdaten soll er auch Kryptowährungen und speziell BitCoin Wallets kompromittieren. Der Trojaner besteht aus diversen Modulen, die an eine Konfigurationsdatei gekoppelt sind. Die Module haben jeweils spezielle Aufgaben wie Anmeldeinformationen zu stehlen oder Daten zu verschlüsseln. Gehackte WLAN-Router werden dabei als Command-and-Control-Server verwendet.
4. Clicker
Diese Trojaner dienen dem Zugriff auf Internetseiten und Server. Wenn Clicker im Hintergrund Befehle an den Browser senden, fällt das dem User in der Regel nicht auf. Diese Art von Trojaner kann Windows-Host-Files ersetzen, in denen Standardadressen abgelegt sind. Konkret werden sie verwendet, um:
Webseiten-Traffic zu erhöhen und mehr Werbeeinnahmen zu generieren,
DDoS-Angriffe einzuleiten sowie
mögliche Opfer auf Seiten weiterzuleiten, die Malware enthalten.
5. DDoS-Trojaner
Mit DDoS-Trojanern soll eine Denial-of-Service-Attacke angestoßen werden, die auf die IP-Adresse des Opfers abzielt. Während einer solchen Attacke wird der Zielrechner mit einer Anfragenflut überschwemmt und so seine Funktionalität gestört. Um eine erfolgreiche DDoS-Attacke auszuführen, müssen Cyberkriminelle eine Vielzahl von Geräten mit dem Trojaner infizieren. Das wird häufig mit Hilfe von Spam oder Phishing bewerkstelligt. Sobald dazu ein Botnet bereitsteht, können die Opfer simultan ins Visier genommen werden.
6. Downloader
Downloader laden Schadsoftware, inklusive anderer Trojaner, herunter und führen sie aus. Informationen über den Standort und Namen der herunterzuladenden Software wird entweder im Trojaner selbst gespeichert oder aber von den Servern bezogen, über die der Angreifer operiert. Downloader werden oft genutzt, um einen Fuß in die Tür zu bekommen. Ahnungslose User werden dazu oft auf Websites gelotst, die Exploits enthalten. Diese schleusen wiederum die Downloader ein, die weiterem Schadcode Tür und Tor öffnen.
7. Dropper
Diese Trojaner installieren Malware heimlich. Die Schadsoftware ist dazu tief im Code des Droppers versteckt. Das soll Antivirusprogramme in die Irre führen, da diese oft nicht den gesamten Dropper analysieren können. Diese Art von Trojaner wird normalerweise im temporären Windows-Verzeichnis gespeichert und ohne Benachrichtigung des Opfers aktiviert.
8. FakeAV-Trojaner
FakeAV imitiert Antivirus-Tools und zeigt den Benutzern falsche Sicherheitswarnungen an. Um die vermeintliche Sicherheitslücke zu beheben, muss ein Geldbetrag bezahlt werden. Unerfahrene Opfer werden zudem dazu verleitet, Vollversionen der FakeAVs herunterzuladen und so die nicht-existente Bedrohung "abzuwehren".
9. Game Thieves
Ähnlich wie Banktrojaner wollen Game Thieves vertrauliche Informationen abgreifen. Dabei geht es ihnen weniger um Finanzinformationen als um Online-Gaming-Accounts. Hat der Trojaner die gewünschten Daten, leitet er sie mittels E-Mail, FTP oder anderer Transfermethoden an die HackerHacker weiter. Alles zu Hacker auf CIO.de
10. Instant-Messaging-Trojaner
IM-Trojaner stehlen Login-Daten zu Instant-Messaging-Applikationen wie Skype oder WhatsApp. Wie bei Game Thieves werden die Infos via E-Mail, FTP oder Webrequests exportiert.
11. Loader
Bei einem Loader handelt es sich um ein kleines Stück Software, das zur Installation eines vollwertigen Virusprogramms benötigt wird. Loader können ein System auf verschiedene Weisen infiltrieren, etwa wenn das Opfer eine infizierte Bilddatei betrachtet. Während dieses Vorgangs verbindet sich der Trojaner mit einem Server, was den Download aller verbleibenden Viruskomponenten initiiert.
12. Mailfinder
Mailfinder stehlen E-Mail-Adressen, die Hackern als Datenbasis für Spam- und Phishing-Kampagnen dienen.
13. Notifier
Diese Art von Trojaner sendet Informationen über den Status infizierter Geräte an die Angreifer. Die Daten können beispielsweise Informationen über offene Ports, installierte Software oder ausgeführte Applikationen enthalten. Notifier sind oft Teil komplexer Angriffe mit Mehrkomponenten-Malware. Die Voraussetzung für "Erfolg" ist, dass die Angreifer alle Teile ihrer Schadsoftware erfolgreich installieren.
14. Proxies
Proxies erlauben kriminellen Hackern, unbemerkt über einen infizierten Rechner Zugriff auf eine Website zu erhalten. Oft werden über die IP-Adresse des Opferrechners Spam-Mails verschickt.
15. Passwordstealing-Ware
Passwordstealing-Ware ist speziell darauf konzipiert, Passwörter zu stehlen. Diese Trojaner können gezielt nach Login-Informationen suchen, die User in Dateien oder Webbrowsern abgespeichert haben. Manche Varianten sind sogar dazu in der Lage, Softwarelizenzen oder Systempasswörter abzugreifen.
16. Ransom-Trojaner
Erpressungstrojaner können Daten verschlüsseln, den Zugriff auf einen Rechner blockieren und diesen so unbrauchbar machen. Die Angreifer bieten ihrem Opfer an, die Verschlüsselung gegen die Zahlung eines Lösegeldes wieder rückgängig zu machen. Solche Trojaner erfreuen sich weiterhin großer Beliebtheit - kein Wunder, schließlich erbeuten Cyberkriminelle auf diesem Weg regelmäßig Millionenbeträge.
17. SMS-Trojaner
Diese Programme senden SMS-Nachrichten an kostenpflichtige Rufnummern. Manchmal kommen SMS-Trojaner auch zum Einsatz, um Zwei-Faktor-Authentifizierungen auszuhebeln.
- 1986: Brain
Mehr als ein Jahrzehnt, bevor Napster für irgendjemanden ein Begriff war, wurde der erste Computervirus entwickelt - um Softwarepiraterie zu bekämpfen. Der Autor, der das Wort "Cyber" in die Welt setzte, war William Gibson - genannt "Brain". Basit und Amjad Alvi entwickelten und vermarkteten medizinische Software im pakistanischen Lahore. Sie interessierten sich für zwei Dinge. Zuerst wollten sie die Multitasking-Funktionalität der neuen DOS-Betriebssysteme (sogenannte "TSR"-Systeme) testen. Zweitens wollten sie sehen, ob es im Vergleich zu anderen Betriebssystemen wie Unix Sicherheitslücken in DOS gibt.<br /><br />Als sie bemerkten, dass DOS recht anfällig war, hatten sie die Idee, ein Stück Software zu schreiben, das überwacht, wie die Software und die Disketten sich bewegen. Brain verbreitete sich viral über 3,25-Zoll-Disketten und innerhalb weniger Wochen mussten die Alvis ihre Telefonnummern ändern. Das hat Ihnen allerdings wenig genützt, denn 25 Jahre nach der Entwicklung des ersten PC-Virus machte sich Mikko Hypponen von F-Secure im Frühjahr 2011 auf die Reise nach Lahore. Sein Ziel: die Adresse, die im Code zu finden war. Tatsächlich fand er die Alvi-Brüder dort vor und bekam die Gelegenheit, mit ihnen das erste Video-Interview über Brain zu führen. - 1987: Stoned
Erstellt durch einen Gymnasiasten in Neuseeland, wurde Stoned zunächst als harmlos angesehen. Zunächst machte er sich auch lediglich mit der Meldung "Your PC is now Stoned" bemerkbar. Doch als erster Virus, der den Bootsektor eines PCs infizierte, zeigte Stoned, dass Viren die Funktion eines Computers steuern können - und zwar von dem Moment an, in dem er eingeschaltet wird. Bob Dylan wäre stolz gewesen. - 1990: Form
Form wurde zu einem der meistverbreiteten Viren überhaupt. Am 18. eines jeden Monats entlockte er den PC-Lautsprechern ein klickendes Geräusch - jedes Mal, wenn eine Taste gedrückt wurde. Das war zwar durchaus ärgerlich, aber harmlos. - 1992: Michelangelo
Michelangelo wurde dazu genutzt, alle Daten auf einer Festplatte zu bestimmten Terminen zu überschreiben. Als eine Variante von Stoned - nur deutlich bösartiger - war Michelangelo wohl der erste Computervirus, der es auf internationaler Ebene in die Nachrichten geschafft hat. - 1992: VCL
Das Virus Creation Laboratory (VCL) machte es kinderleicht, ein bösartiges kleines Programm zu basteln – durch die Automatisierung der Virenerstellung über eine einfache grafische Schnittstelle. - 1993: Monkey
Monkey - ebenfalls ein entfernter Verwandter von Stoned - integrierte sich heimlich in Dateien und verbreitete sich anschließend nahtlos. Damit war Monkey ein früher Vorfahre des Rootkits: Ein selbstverbergendes Programm, das den Bootvorgang per Diskette verhindern konnte. Wenn es nicht korrekt entfernt wurde, verhinderte Monkey gar jegliche Art des Bootens. - 1995: Concept
Als erster Virus, der Microsoft Word-Dateien infizierte, wurde Concept zu einem der häufigsten Computer-Schädlinge. Schließlich war er in der Lage, jedes Betriebssystem, das Word ausführen konnte, zu infizieren. Achja und: Wurde die Datei geteilt, wurde auch der Virus geteilt. - 1999: Happy99
Happy99 war der erste E-Mail-Virus. Er begrüßte User mit den Worten "Happy New Year 1999" und verbreitete die frohe Botschaft per E-Mail auch gleich an alle Kontakte im Adressbuch. Wie die frühen PC-Viren richtete Happy99 keinen wirklichen Schaden an, schaffte es aber dennoch, sich auf Millionen von PCs auf der ganzen Welt auszubreiten. - 1999: Melissa
Angeblich benannt nach einer exotischen Tänzerin, stellte Melissa eine Kombination aus klassischem Virus und E-Mail-Virus dar. Er (beziehungsweise sie) infizierte eine Word-Datei, verschickte sich dann selbst per E-Mail an alle Kontakte im Adressbuch und wurde so zum ersten Virus, der innerhalb weniger Stunden zu weltweiter Verbreitung brachte.<br />Melissa kombinierte das "Spaß-Motiv" der frühen Virenautoren mit der Zerstörungskraft der neuen Ära: Der Virus integrierte unter anderem Kommentare von "The Simpsons" in Dokumente der Benutzer, konnte aber auch vertrauliche Informationen verschicken, ohne dass Betroffene dies bemerkten. Nicht lange nach Melissa wurden Makroviren praktisch eliminiert, indem Microsoft die Arbeitsweise der Visual-Basic-Makro-Sprache in Office-Anwendungen änderte. - 2000: Loveletter
Dieser Loveletter hat Millionen von Herzen gebrochen und gilt noch heute als einer der größten Ausbrüche aller Zeiten. Loveletter verbreitete sich via E-Mail-Anhang und überschrieb viele wichtige Dateien auf infizierten PCs. Gleichzeitig ist es einer der erfolgreichsten Social-Engineering-Attacken überhaupt. Millionen von Internet-Nutzern fielen dem Versprechen von der großen Liebe zum Opfer und öffneten den infizierten E-Mail-Anhang. Der geschätzte, weltweite Gesamtschaden betrug Schätzungen zufolge 5,5 Milliarden Dollar. - 2001: Code Red
Der erste Wurm, der sich ohne jegliche Benutzerinteraktion innerhalb von Minuten verbreitete, trug den Namen Code Red. Er führte verschiedene Aktionen in einem Monatszyklus aus: An den Tagen eins bis 19 verbreitete er sich - von Tag 20 bis 27 startete er Denial-of-Service-Attacken auf diverse Webseiten - beispielsweise die des Weißen Hauses. Von Tag 28 bis zum Ende des Monats war übrigens auch bei Code Red Siesta angesagt. - 2003: Slammer
Netzwerk-Würmer benötigen nur ein paar Zeilen Code und eine Schwachstelle - schon können sie für ernste Probleme sorgen. Slammer brachte auf diese Weise das Geldautomaten-Netz der Bank of America und die Notrufdienste in Seattle zum Absturz. Sogar das Flugverkehrskontrollsystem war nicht gegen den agilen Bösewicht immun. - 2003: Fizzer
Fizzer war der erste Virus, der gezielt entwickelt wurde, um Geld zu verdienen. In Gestalt eines infizierten E-Mail-Anhangs kam er auf die Rechner seiner Opfer. Wurde die Datei geöffnet, übernahm Fizzer den Rechner und benutzte diesen, um Spam zu versenden. - 2003: Cabir
Cabir war der erste Handy-Virus der IT-Geschichte und hatte es gezielt auf Nokia-Telefone mit Symbian OS abgesehen. Cabir wurde über Bluetooth verbreitet und bewies, dass der technologische Fortschritt alleine kein wirksames Mittel gegen Hacker und Cyberkriminelle ist. - 2003: SDBot
SDBot war ein Trojanisches Pferd, das die üblichen Sicherheitsmaßnahmen eines PCs umging, um heimlich die Kontrolle zu übernehmen. Er erstellte eine Backdoor, die es dem Autor unter anderem ermöglichte, Passwörter und Registrierungscodes von Spielen wie "Half-Life" und "Need for Speed 2" auszuspionieren. - 2003: Sobig
Sobig war eine Optimierung von Fizzer. Die Besonderheit: Einige Versionen warteten zunächst ein paar Tage nach der Infektion eines Rechners, bevor die betroffenen Rechner als E-Mail-Proxy-Server benutzt wurden. Das Ergebnis? Eine massive Spam-Attacke. Alleine AOL musste mehr als 20 Millionen infizierte Nachrichten pro Tag abfangen. - 2004: Sasser
Sasser verschaffte sich über gefährdete Netzwerk-Ports Zugang zum System, verlangsamte dieses dramatisch oder brachte gleich ganze Netzwerke zum Absturz – von Australien über Hongkong bis nach Großbritannien. - 2005: Haxdoor
Haxdoor war ein weiterer Trojaner, der nach Passwörtern und anderen privaten Daten schnüffelte. Spätere Varianten hatten zudem Rootkit-Fähigkeiten. Im Vergleich zu früheren Viren setzte Haxdoor weitaus komplexere Methoden ein, um seine Existenz auf dem System zu verschleiern. Ein modernes Rootkit kann einen Computer in einen Zombie-Computer verwandeln, der ohne das Wissen des Benutzers fremdgesteuert werden kann - unter Umständen jahrelang. - 2005: Sony DRM Rootkit
Im Jahr 2005 hatte eine der größten Plattenfirmen der Welt die gleiche Idee, die schon die Alvi-Brüder im Jahr 1986 hatten: Ein Virus sollte Piraterie verhindern. Auf den betroffenen Audio-CDs war nicht nur eine Musik-Player-Software, sondern auch ein Rootkit enthalten. Dieses kontrollierte, wie der Besitzer auf die Audio-Tracks der Disc zugreift. Das Ergebnis: ein medialer Shitstorm und eine Sammelklage. Letzterer konnte sich Sony nur durch großzügige Vergleichszahlungen und kostenlose Downloads außergerichtlich erwehren. - 2007: Storm Worm
Laut Machiavelli ist es besser, gefürchtet als geliebt zu werden. Sieben Jahre nach Loveletter, machte sich der Schädling Storm Worm unsere kollektive Angst vor Wetterkapriolen zu Nutze. Dazu benutzte er eine E-Mail mit der Betreffzeile "230 Tote durch Sturm in Europa". Sobald der Dateianhang geöffnet wurde, zwangen eine Trojaner- Backdoor und ein Rootkit den betroffenen Rechner, sich einem Botnetz anzuschließen. Botnetze sind Armeen von Zombie-Computern, die verwendet werden können, um unter anderem Tonnen von Spam zu verbreiten. Storm Worm kaperte zehn Millionen Rechner. - 2008: Mebroot
Mebroot war ein Rootkit, dass gezielt konstruiert wurde, um die gerade aufkommenden Rootkit-Detektoren auszutricksen. Dabei war der Schädling so fortschrittlich, dass er einen Diagnosebericht an den Virenschreiber sendete, sobald er einen PC zum Absturz gebracht hatte. - 2008: Conficker
Conficker verbreitete sich rasend schnell auf Millionen von Computern weltweit. Er nutzte sowohl Schwachstellen in Windows, als auch schwache Passwörter. Kombiniert mit einigen fortschrittlichen Techniken, konnte Conficker weitere Malware installieren. Eine - besonders fiese - Folge: die Benutzer wurden durch den Virus vom Besuch der Website der meisten Anbieter von Security-Software gehindert. Mehr als zwei Jahre nachdem Conficker erstmals gesichtet wurde, waren immer noch täglich mehr Rechner infiziert. - 2010: 3D Anti Terrorist
Dieses "trojanisierte" Game zielte auf Windows-Telefone ab und wurde über Freeware-Websites verteilt. Einmal installiert, startete der Trojaner Anrufe zu besonders teuren Sondernummern und bescherte den Nutzern überaus saftige Rechnungen. Diese Strategie bei Apps ist immer noch neu - wird sich aber vermutlich zu einer der gängigsten Methoden entwickeln, mit denen Hacker und Cyberkriminelle künftig mobile Endgeräte angreifen. - 2010: Stuxnet
Wie schon gesehen, haben Computer-Viren schon seit Jahrzehnten Auswirkungen auf die reale Welt - doch im Jahr 2010 hat ein Virus auch den Lauf der Geschichte verändert: Stuxnet. Als ungewöhnlich großer Windows-Wurm (Stuxnet ist mehr als 1000 Prozent größer als der typische Computerwurm) verbreitete sich Stuxnet wahrscheinlich über USB-Geräte. Der Wurm infizierte ein System, versteckte sich mit einem Rootkit und erkannte dann, ob der infizierte Computer sich mit dem Automatisierungssystem Siemens Simatic verbindet. Wenn Stuxnet eine Verbindung feststellte, veränderte er die Befehle, die der Windows-Rechner an die PLC/SPS-programmierbaren Logik-Controller sendet - also die Boxen zur Steuerung der Maschinen.<br /><br /> Läuft er auf PLC/SPS, sucht er nach einer bestimmten Fabrikumgebung. Wenn diese nicht gefunden wird, bleibt Stuxnet inaktiv. Nach Schätzungen der F-Secure Labs, kostete die Umsetzung von Stuxnet mehr als zehn Mannjahre Arbeit. Immerhin zeigt das, dass ein Virus, der offensichtlich eine Zentrifuge zur Urananreicherung manipulieren kann, nicht im Handumdrehen von Jedermann erschaffen werden kann. Die Komplexität von Stuxnet und die Tatsache, dass der Einsatz dieses Virus nicht auf finanziellen Interessen beruhte, legt den Verdacht nahe, dass Stuxnet im Auftrag einer Regierung entwickelt wurde.
Trojaner finden - Symptome & Schutzmaßnahmen
Alle Trojaner bestehen aus einem Server und einem Client. Der Client verbindet sich mit dem Server mit Hilfe eines TCP/IP-Protokolls. Außerdem kann der Client unter Umständen über ein User Interface sowie einige Input-Felder oder Buttons zur Fernverwaltung verfügen.
Der Serverteil wird dann auf dem Zielrechner installiert, führt die Befehle des Clients aus und transferiert verschiedene Daten. Ist der Trojaner eingeschleust, wartet der Server auf Befehle von einem speziellen Port, den der Angreifer anpingt. Wenn der Serverteil erfolgreich installiert wurde, antwortet er mit der IP-Adresse des Computers sowie dessen Netzwerknamen.
Misstrauisch sollten Sie werden, wenn Sie folgende Symptome an Ihrem Rechner feststellen:
neue Applikation erscheinen im Start-Menü
falsche Sicherheitswarnungen "informieren" über Viren, Porno-Downloads, etc.
unerwartete Screenshots
Sound- oder Fotodateien werden "ungefragt" abgespielt
plötzliche Boot-Vorgänge
Die meisten Trojaner bedürfen einer Form der User-Interaktion, beispielsweise auf einen E-Mail-Anhang zu klicken oder Macros in Office-Dokumenten zuzulassen. Der beste Schutz ist also, das eigene Klickverhalten zu hinterfragen.
Darüber hinaus sollte Ihre Software immer auf dem neuesten Stand sein, insbesondere Systemsoftware, Antivirusprogramme und Webbrowser. Oft versuchen Cyberkriminelle, Sicherheitslücken in diesen Programmen auszunutzen. Verwenden Sie außerdem Firewalls, um eine sichere Internetverbindung aufbauen zu können. Viele Firewalls sind zudem in der Lage, bösartigen Traffic auszusortieren.
Angesichts der Vielzahl von Trojaner-Typen kann es keine Patentlösung in Sachen SicherheitSicherheit geben. Im ersten Schritt sollten Sie temporäre Ordner bereinigen, bösartige Einträge in der Registry aufspüren und diese im abgesicherten Modus manuell entfernen. Die besten Antivirus-Tools können Trojaner automatisch aufstöbern. Alles zu Security auf CIO.de
Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.